2015年11月12日木曜日

RMS機能をクラウドに移行する

最近、クラウド化が進むにあたって、RMSサービスの(オンプレミスからクラウドへの)移行の話がよく仕事で出てきます。手順については下記のサイトに詳細が出ていますが、簡単に内容についてまとめてみたいと思います。


Title: AD RMS から Azure Rights Management への移行
URL: https://technet.microsoft.com/ja-jp/library/dn858447.aspx

■移行作業の流れ
1. Azure RMS 管理ツールをダウンロード
移行作業のために必要なツールを手元に用意しておきます。
https://www.microsoft.com/ja-jp/download/details.aspx?id=30339


2. 構成データをAzure RMSにインポート
ローカルActive DirectoryのRMSにおける構成データ(キーとか、テンプレートとか)をエクスポートし、Azure RMSにインポートします。
※ここでStep.1のツールを使用します。


3. RMSサービスをアクティブ化
Azure側でRMSサービスをアクティブ化します。
-----------------------<抜粋>---------------------
Azure RMS テナントが既にアクティブ化されている場合はどうすればよいですか。組織の Azure RMS サービスが既にアクティブ化されている場合は、ユーザーが既に Azure RMS を使用してコンテンツを保護し、AD RMS の既存のキー (およびテンプレート) ではなく、自動的に生成されたテナント キー (および既定のテンプレート) を使用している可能性があります。 これは、イントラネット上で適切に管理されたコンピューターではほとんど起こりません。AD RMS インフラストラクチャ用に自動的に構成されるためです。 ただし、イントラネットへの接続の頻度が低いワークグループのコンピューターでは発生する可能性があります。 残念ながら、このようなコンピューターの識別は困難です。そのため、AD RMS から構成データをインポートする前に、サービスをアクティブ化しないようにお勧めします。
------------------------------------------------------


4. インポートされたテンプレートを構成
Step.2によりインポートされたテンプレートは「アーカイブ済み」という状態になっています。
使用するためにはこの状態を「公開済み」に変更する必要があります。


5. Azure RMS を使用するようにクライアントを再構成
クライアントはローカルのRMSを使用するように構成されているため、それをAzure RMSを使用するように設定変更します。
こちらはスクリプトの実行により行います。
※モバイル(スマートフォン/タブレット)の使用のために拡張機能を利用している場合にはDNSレコードの削除も必要となります。


6. IRMとExchange Online の統合を構成
RMSをExchange Onlineと連携して使用するように構成していた場合、(RMSの)連携先をオンプレミスからAzure RMSに変更する必要があります。


7. RMS コネクタをデプロイ
オンプレミスのシステム(Exchange/SharePoint/ファイルサーバー)とRMSを連携して使用するように構成していた場合、RMSコネクタを使用してAzure RMSが該当システムと連携するように構成変更する必要があります。


8. AD RMS の使用を停止
Azure RMSを使用するための構成が完了したら、オンプレミスのRMSが使用されないように接続ポイント(SCP)を削除します。


9.Azure RMS テナント キーを更新
Azure RMS側のキーを更新します。




基本的に、ローカルのRMS(AD RMS)とクラウドのRMS(Azure RMS)は共存して構成する、というのがNGなので、必ず上記の移行作業を行う必要があります。

2015年10月25日日曜日

Bloggerのインデックス

仕事上、Office 365を扱っていると、検索に関する話はしょっちゅう出てくるわけですが、このブログを書いていて、『ページを公開した後に検索で引っかかってこない』という問題にぶつかりました。

ちょっと調べた結果、ちょっとした作業をしないといけないようなので、参考までに見たページを載せておきます
。

【Bloggerの場合】
私はBloggerを使っていますが、この場合には自分でサーバーを立てているわけではないので、かなり可能な操作が限定されています。この場合にはこちらにあるような方法を取る必要があります。(このページ、すごくわかりやすいです。)

http://beginners-hack.blogspot.jp/2014/09/index-method.html
http://beginners-hack.blogspot.jp/2014/09/webmaster-tool-verify-ownership.html


ExchangeやSharePointであれば、それなりに検索の仕組みはわかっているつもりなのですが、パブリックなWebに関しては仕組みがよくわかっていなかったのですが、どうやらそのサイトの更新頻度とかが関係あるみたいですね。『どうやら』ってところが曖昧なのですが、パブリッククラウドのサービスってどこもきっとそんなもんです。

日本のお客様はすべての起こっている状況を把握し、制御もできることを求めますが、扱う/管理する情報によってそのレベルを下げてクラウドに出すことが現在のトレンドです。(直接ビシッとお客様に言えないけど。)

2015年10月23日金曜日

おもにITの仕事で使うアイコン

IT業界で働く人がおもにPowerPointなどのプレゼン資料などで使用するためのアイコンで、マイクロソフト製品に関するものは以下のリンクからダウンロードすることができます。

http://www.microsoft.com/en-us/download/details.aspx?id=35772


ただし、こちらはVisioのステンシルとなっているため、いまいち使いづらいです…。















そのため、私はPowerPointに抜き出して、適当なカテゴリに分けて貼り付けて使っています。





【Office 365】Active Directory Authentication Library (ADAL) とは?

ADALについての説明は以下のサイトに記載があります。
https://blogs.office.com/2014/11/12/office-2013-updated-authentication-enabling-multi-factor-authentication-saml-identity-providers/

一言で言うと、『Officeクライアントの認証方式(≒フロー)が変わる』ということになります。

これまでADFSを使用したフェデレーション構成におけるOffice 365の認証に関しては、Webブラウザベース(Office 365ポータルやSharePoint Online)のアクセスと各Officeクライアント(OutlookやSkype for Business)では認証の経路が異なりました。下記のWebページの記載内容を基に簡単にまとめてみたいと思います。

https://community.office365.com/ja-jp/w/sso/1002
http://blog.o365mvp.com/2013/07/24/adfs_recent_change_notes/

【Webブラウザの場合】
ブラウザが認証のための各コンポーネントにアクセスし、トークンやチケットのやり取りをします。













【Outlookの場合】
Outlookに変わり、Exchange Onlineが代理でトークンやチケットのやり取りをします。













今後、ADALが実装されるとすべての認証経路が【Webブラウザの場合】に統一されるようになるというのが大きな特徴になります。ではいったいこれにより何がうれしいのかというと、これまでWebブラウザのような認証フローでなかったために、実現できなかった下記のようなことが実現可能になります。


①Office 2013 クライアント アプリケーションで多要素認証(MFA)が使用できる
従来より、例えばOffice 365の標準機能を使用することにより、以下のような多要素認証を構成することができました。
・モバイル デバイスにかかってきた電話への応対
・モバイル アプリに提示される認証コードの入力



















ただし、OutlookやLyncを使用する場合には上記の認証構成に対応していなかったため、多要素認証を構成した場合の専用のパスワード(="アプリケーションパスワード")というものを使用してExchange Online/Lync Onlineにアクセスする必要がありました。(そのため、厳密な「多要素認証」とは言えませんでした。)これが、ADALが実装されることにより、上記のような多要素認証機能も使用できるようになり、Office 365のサービスを通貫してよりセキュアな認証構成を取ることが可能になります。

※アプリケーションパスワードについては下記のサイトに説明があります。
http://azuread.net/2014/02/17/office365%E3%81%A7%E5%A4%9A%E8%A6%81%E7%B4%A0%E8%AA%8D%E8%A8%BC%E3%82%92%E5%AE%9F%E8%A3%85%E3%81%97%E3%81%9F%E5%A0%B4%E5%90%88%E3%81%AE%E3%82%A2%E3%83%97%E3%83%AA%E3%82%B1%E3%83%BC%E3%82%B7%E3%83%A7/


②SAMLベースのIDプロバイダーによるサインインができる
Office 365を使用する場合には、ADFSを使用したフェデレーション構成を取ることが一般的ですが、サードパーティ製の認証プロバイダーを使用してシングルサインオン構成を行うことも可能です。ただし、これまでは各クライアントが認証のためのやり取りを行うことができなかったため、下記のようなことができませんでした。
・Office 365 ProPlus のライセンス認証
・Lync やその他のクライアント アプリケーションから Office 365 への接続
・Word、Excel、PowerPoint などのファイルの SharePoint Online への保存

ADALの実装により、これらのことが実現可能になります。すでにサードパーティ製の認証プロバイダーが社内で構成されており、Office 365を使用するにあたり、その基盤を利用したい、というお客様にはメリットがあるかと思います。


③スマートカードおよび証明書ベースの認証が構成できる
ADFSを構成している環境においては、容易にスマートカードや証明書を使用した認証を構成することができます。ADALによりこれらが使用可能になりますので、例えば以下のような要件を満たすことができます。
・『ID/PW以外に、ユーザーが保持しているスマートカードを使用して、もう一段階の認証を入れたい。』
・『証明書を配布されているデバイスからのみアクセスをさせるようにしたい。』























※ADFSを使用した多要素認証の構成手順はかなり煩雑です…。そのうちまとめようと思いますが、以下のようなサイトが参考になるかと思います。
http://www.atmarkit.co.jp/ait/articles/1503/05/news025.html
http://www.atmarkit.co.jp/ait/articles/1504/02/news010.html
https://technet.microsoft.com/ja-jp/library/80b48521-5bfd-4c87-8a7a-9ec7a6c3351f#BKMK_4
http://azuread.net/2013/09/18/windows-server-2012-r2%e3%82%92%e4%bd%bf%e3%81%a3%e3%81%a6ios%e3%81%a0%e3%81%91%e3%81%8coffice365%e3%81%ab%e3%82%a2%e3%82%af%e3%82%bb%e3%82%b9%e3%81%a7%e3%81%8d%e3%82%8b%e3%82%88%e3%81%86%e3%81%ab/


④ADFS環境下において、Outlookがシングルサインオンが可能になる
これまではADFSを使用したフェデレーション構成にした環境でも、Outlookを使用してExchange Onlineに接続する場合には、毎回ID/PWを入力する(または初回接続時にID/PWを保存する)必要がありました。ADALが実装されることにより、このような操作が不要になります。


これらよりOffice 365の認証がより統合され、よりセキュアな環境が構築できる、ということが言えるようになるかと思います。


そしてこのADALですが、(A) Office 365テナント側の対応と (B) クライアント側の対応が両方で必要となります。

(A) Office 365テナント側の対応
現在はPublic Previewというステータスになります。一般的な機能は使用可能になっていますが、一部の機能は使用できません。
https://blogs.office.com/2015/03/23/office-2013-modern-authentication-public-preview-announced/

上記サイトから抜粋すると、使用できないのは以下の機能のようです。(これ以外にもいくつか列挙されていますが、それらはクライアント側のパッチで使用可能になりそうですね。)
・ADFSのクライアントアクセスフィルタリングのポリシーが使用不可。
・Skype for Business (formerly Lync) クライアントについてはMFAが使用不可。

(B) クライアント側の対応
Officeクライアントについては下記のパッチによりADAL対応が行われています。
https://support.microsoft.com/en-us/kb/2965218#bookmark-registry

ただし、パッチを適用しただけではADALは有効にはなっていません。上記パッチによりADALを制御するレジストリが使用可能になり、それにより有効化することができるようになる(デフォルトでは無効)、ということになります。
https://support.office.com/en-us/article/Enable-Modern-Authentication-for-Office-2013-on-Windows-devices-7dc1c01a-090f-4971-9677-f1b192d6c910?ui=en-US&rs=en-US&ad=US



以上が、ざっくりのADALに関する概要になります。



電力自由化の競争

電力自由化にあたって、続々と異業種企業の参入のニュースが報道されています。当たり前ですが、他の何かのサービス(携帯電話、ガスとか)との抱き合わせでどのくらい "安さ" をアピールできるのか、っていう競争になっています。

【電力自由化 小売りに新規参入 】
http://www.nikkei.com/article/DGXZZO92656010Z01C15A0000000/

電力って『あっちの会社から買ったほうが電気の質がいいよ!』ってならないですもんね…。我が家も価格オンリーで乗り換えをしてやろうと思っています。

でも電力大手はどんどん海外に目を向けるようになっているのはとてもいいことだと思います。企業の寿命が短くなっていることが様々な調査会社から出ていますが、やはり勝ち残るためにいろいろな努力/チャレンジをしなくてはなりません。企業も人も。

【電力大手、海外で稼ぐ 10年で出力5倍の1630万キロワット】
http://www.nikkei.com/article/DGXLZO91289570T00C15A9EA1000/

日本郵政グループの株式公開

日本郵政グループ(日本郵政/ゆうちょ銀行/かんぽ生命)の株がいよいよ11月4日より上場されますね。これまで、国に守られていたボンボン息子が、世間に放り出される感じがなんとなくします。

当然、民間の競争って激烈に激しいわけで、同業他社がこれまで工夫に工夫を重ねて頑張ってきた土壌でやりくりして行くのは簡単なことではありません。しかし、そこはボンボン息子。お金と土地、それに人(=リソース)を持っています。

【高齢者にiPad提供、生活サポートへ 日本郵政グループとIBM、Appleが提携】
http://www.itmedia.co.jp/news/articles/1505/07/news116.html

【通販、郵便局で受け取り 日本郵便、ファミマとも提携 拠点5万カ所に】
http://www.nikkei.com/article/DGKKASGC03H09_T01C15A0MM8000/

魅力的なものさえ持っていれば、そこに勝手に群がってくる存在は必ずある、ということです。「マジで負けるな、同業他社。意地見せろや。」と思っています

AI (Artificial Intelligence) のビジネス利用

ここ数年で、かなり人工知能(AI)のビジネス利用の話がメディアで取り上げられるようになってきました。特に "ワトソン" で有名なIBMは、人工知能の技術が取り入れられた製品ではなく、人工知能の仕組みそのものを自社のビジネスで使用できるようにするための部隊を作ったことがニュースになっています。

【米IBM、人工知能コンサル専門組織 2000人規模で設立】
http://www.nikkei.com/article/DGXLZO92546220X01C15A0TJC000/

新聞ではGoogleやAppleなどに比べて、革新性という観点で叩かれることも多いIBMですが、企業のビジネス領域には深く入り込んでいて、そこを楔に新しいことを広げ始めたら、それなりに力を発揮していきそうな気もします。

自分の仕事に関するところでは、標的型攻撃の対応に人工知能の技術が使われています。

【NTTコム、「WideAngle」に人工知能を搭載しサイバー攻撃への分析力を大幅強化】
http://itpro.nikkeibp.co.jp/atclact/activer/nkpr/RSP397789_07102015/

【Exchange Online Advanced Threat Protection の概要】
https://community.office365.com/ja-jp/b/office_365_buzz/archive/2015/04/14/introducing-exchange-online-advanced-threat-protection

よく『精度はどうなんだ?』という指摘を頂きますが、それ言われると困りますね…。
…というか、では人間がやったとしたら精度が高いと言えるんでしょうか。
まあ、『最近の仕組みとしてはそれがスタンダードなんだ』って言ってはぐらかしてはいます。